一. 环境准备 测试通常给的是PDF文档,动辄几百页,看起来很费劲,看文档的时间可能比解决问题的时间还长...所以作为需要解决问题的我们来说,最好安装AppScan,请测试人员提供类型为AppScan Scan File的文件.(图片模糊掉了URL,不影响问题分析)  二. 如何分析AppScan扫描出的安全性问题AppScan扫描出的问题会一般按照严重程度分高,危,参三种类型,高危属于必须要解决的问题:低危一般属于config配置,或IIS配置问题:低的问题,一般也可能是高,低的衍生问题,高危

1. SQL注入文件写入(需要用户验证) 解决办法:通过建立过滤器方法,对所有用户输入信息进行清理过滤.通过清理过滤用户输入所包含的危险字符,便可能防止恶意的用户导致应用程序执行计划外的任务,例如:启动任意 SQL 查询.嵌入将在客户端执行的Javascript代码.运行各种操作系统命令等. 建议过滤出所有以下字符: [1] |(竖线符号) [2] &(&符号) [3];(分号) [4] $(美元符号) [5] %(百分比符号) [6] @(at 符号) [7] '(单引号) [8] &q

有些问题久了忽然就想通怎么解决了,很神奇.这次要说的是,关于appscan无法检测到会话的问题,因为在百度上一直找不到相关的解决方法,这个问题困扰了我很久,今天终于找到方法解决了! 日常配置扫描内容:输入网址,打开记录登录信息,关闭浏览器,等待程序分析登录信息并记录到登录管理....问题就来了,登录管理提示了会话检测不到或未识别页面 PS:由于扫描是外网,所以打上马赛克了...还有,我第一次扫描是显示会话未检测,然后解决了问题之后,就去扫描了,因为任务要紧嘛... 于是我双击打开会话中的网址:

启用了不安全的HTTP方法解决办法  IBM APPSCAN     安全风险:       可能会在Web 服务器上上载.修改或删除Web 页面.脚本和文件. 可能原因:       Web 服务器或应用程序服务器是以不安全的方式配置的. 修订建议:       如果服务器不需要支持WebDAV,请务必禁用它,或禁止不必要的HTTP 方法. 方法简介: 除标准的GET和POST方法外,HTTP请求还使用其他各种方法.许多这类方法主要用于完成不常见与特殊的任务.如果低权限用户可以访问这些方法,他

最近在做安全扫描,把遇到的一些问题以及一些解决方法记录下,以备后用. 扫描软件: IBM Security AppScan Standard  规则: 17441 1. 已解密的登录请求 (高) - 传递的参数名称避免使用语义明确的英文单词 > 如UserID, UserPwd, Password等 - 传递参数中包含敏感数据时使用post方式提交并进行加密传输 - 采用ajax方式提交表单时,提交的参数名称应与对应的表单控件name属性不同或者去掉name属性,通过ID属性取值.   2. 查

手动探索的时候,因为打开的浏览器是appscan自带的,可能会存在兼容性问题,有些页面无法正常打开.那么是否可以用我们电脑上的浏览器(IE .火狐.谷歌)来进行录制 菜单栏--工具---选项----首选项 或者 菜单栏--工具---选项----高级

AppScan 在 API 安全测试中的实例介绍 在本项目中,API 遵循标准的的 REST 架构和背端服务器进行通信.针对 API 的功能测试由两部分组成:一部分是用一个 Web 的测试页面直接实现的,另一部分,由于 Web 页面的局限性(比如不能任意修改 HTTP header),所以是通过 Shell 脚本调用 curl 实现的. 并且这个 API 的测试环境没有固定的域名和 IP 地址.针对 Web 应用的安全测试采用 AppScan Standard.项目实施过程中面临这样几个问题:

最近在修复系统漏洞时,使用新版AppScan扫描IIS站点(WebForm)出现一个严重漏洞“已解密的登陆请求”. 扫描工具修复的建议为在登陆界面不使用含“password”类型的控件或加密录入参数. 按其所给的建议,我做了如下修改:将password控件修改为textbox控件.使用js替换输入的内容.并将录入的结果录入到隐藏控件中提交时去隐藏控件的值. 修改后部署更新站点重新扫描并不能解决问题. 通过百度.bing等搜索工具找了一下两个解决方案: 1.站点登陆采用ssl方式 2.对登陆请求的

问题描述: ​ 解决方法: 1.Server 2008(R2) 根据appScan的修订建议访问地址:http://msdn.microsoft.com/en-us/library/windows/desktop/bb870930(v=vs.85).aspx 里面说了如何修改SSL 密码套件的优先级和状态,里面有一堆的加密方式,很难知道哪些该保留,哪些改去掉(其实AppScan里面已经有提示哪些该去掉): 经过一番资料查找,有一个名叫IIS Crypto的软件工具,专门用来解决上面的问题: 软件

最近使用ThinkCMF给某政府开发的一个平台,因为他们需要通过国家二级信息安全等级测试 所以自己先使用Appscan测试了一下,结果扫描出一个xss安全问题 测试的网址:http://www.xxxx.com/portal/list/index/id/1/p/index.php?%3E%27%22%3E%3Cscript%3Ealert%2881998%29%3C%2Fscript%3E=123 可以看到这是一个通过编码的字符串,解码后的字符串为:   http://www.xxxx.com/

1 SQL注入.盲注 1.1 SQL注入.盲注概述 Web 应用程序通常在后端使用数据库,以与企业数据仓库交互.查询数据库事实上的标准语言是 SQL(各大数据库供应商都有自己的不同版本).Web 应用程序通常会获取用户输入(取自 HTTP 请求),将它并入 SQL 查询中,然后发送到后端数据库.接着应用程序便处理查询结果,有时会向用户显示结果. 如果应用程序对用户(攻击者)的输入处理不够小心,攻击者便可以利用这种操作方式.在此情况下,攻击者可以注入恶意的数据,当该数据并入 SQL 查询中时,就将

1.1 已解密的登录请求概述 在应用程序测试过程中,检测到将未加密的登录请求发送到服务器.由于登录过程所用的部分输入字段(例如:用户名.密码.电子邮件地址.社会保险号码,等等)是个人敏感信息,建议通过加密连接(如 SSL)将其发送到服务器.任何以明文传给服务器的信息都可能被窃,稍后可用来电子欺骗身份或伪装用户. 此外,若干隐私权法规指出,用户凭证之类的敏感信息一律以加密方式传给网站. 1.2 安全风险及原因分析 安全风险中,可能会窃取诸如用户名和密码等未经加密即发送了的用户登录信息 原因:诸如用

[AppScan]修复漏洞一:启用不安全的HTTP方法 (中) 漏洞背景:      “启用了不安全的 HTTP 方法”属于“中”危漏洞.漏洞描述是:根据APPSCAN的报告,APPSCAN通过OPTIONS请求,当响应中发现DELETE.SEARCH.COPY等方法为允许方法时,则认为是漏洞. 修改建议:可采用3种方法:1.禁用WebDAV功能,能根本解决.不引入新的不稳定因素2.使用URLSCAN禁用OPTIONS,实际没有真正禁用,但缩小了影响范围.URLSCAN可能有副作用.3.使用UR

最近工作要求解决下web的项目的漏洞问题,扫描漏洞是用的AppScan工具,其中此篇文章是关于发现数据库错误模式问题的.下面就把这块东西分享出来. 原创文章,转载请注明 -----------------------------------------正题------------------------- 测试类型:应用程序级别测试 威胁分类:SQL注入 原因:未对用户输入正确执行危险字符清理 安全性风险:可能会查看.修改或删除数据库条目和表 受影响产品:该问题可能会影响各种类型的产品. 引用:

最近工作要求解决下web的项目的漏洞问题,扫描漏洞是用的AppScan工具,其中此篇文章是关于链接注入问题的.下面就把这块东西分享出来. 原创文章,转载请注明 -----------------------------------------正题------------------------- 测试类型:应用程序级别测试 威胁分类:内容电子欺骗 原因:未对用户输入正确执行危险字符清理 安全性风险:■ 劝说初级用户提供诸如用户名.密码.信用卡号.社会保险号等敏感信息■ 可能会窃取或操纵客户会话和

最近工作要求解决下web的项目的漏洞问题,扫描漏洞是用的AppScan工具,其中此篇文章是关于会话标识未更新问题的.下面就把这块东西分享出来. 原创文章,转载请注明 -----------------------------------------正题------------------------- 测试类型:应用程序级别测试 威胁分类:会话定置 原因:Web 应用程序编程或配置不安全 安全性风险:可能会窃取或操纵客户会话和cookie,它们可能用于模仿合法用户,从而使黑客能够以该用户身份查看

最近工作要求解决下web的项目的漏洞问题,扫描漏洞是用的AppScan工具,其中有很多是关于跨站点脚本编制问题的.下面就把这块东西分享出来. 原创文章,转载请注明 -----------------------------------------正题------------------------- 测试类型:应用程序级别测试 威胁分类:跨站点脚本编制 原因:未对用户输入正确执行危险字符清理 安全性风险:可能会窃取或操纵客户会话和cookie,它们可能用于模仿合法用户,从而使黑客能够以该用户身份

Web 应用的基础概念 在讨论 Web 应用安全之前,先简单介绍一下 Web 应用基础概念,这样便于理解为什么 Web 应用是脆弱的,容易受到攻击. 1. 什么是 Web 应用 Web 应用是由动态脚本.编译过的代码等组合而成.它通常架设在 Web 服务器上,用户在 Web 浏览器上发送请求,这些请求使用 HTTP 协议,经过因特网和企业的 Web 应用交互,由 Web 应用和企业后台的数据库及其他动态内容通信. 2. Web 应用的架构 尽管不同的企业会有不同的 Web 环境搭建方式,一个典型

基于appscan测试结果分析: 一.XSS跨站脚本 指的是攻击者往Web页面里插入恶意html代码,通常是JavaScript编写的恶意代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的.是最常见的Web应用程序安全漏洞之一 JavaScript可以用来获取用户的cookie.改变网页内容.URL调转,存在XSS漏洞的网站,可以盗取用户cookie.黑掉页面.导航到恶意网站 攻击的主要途径: 1.对普通的用户输入,页面原样内容输出 2.在代码区里有用

Appscan的窗口大概分三个模块,Application Links(应用链接), Security Issues(安全问题), and Analysis(分析) Application Links Pane(应用程序结构) 这一块主要显示网站的层次结构,基于URL和基于内容形式的文件夹和文件等都会在这里显示,在旁边的括号里显示的数字代表存在的漏洞或者安全问题.通过右键单击文件夹或者URL可以选择是否忽略扫描此节点.Dashboard窗格会根据漏洞严重程序,高中低列出网站存在的问题情况,因此D